Loi n° 29-2019 du 10 octobre 2019 portant protection des données à caractère personnel

La présente loi a pour objet de :

• mettre en place un dispositif permettant d’assurer la protection des libertés et droits fondamentaux des personnes physiques, notamment de leur vie privée, à l’égard du traitement des données à caractère personnel ;
• veiller à ce que les technologies de l’information et de la communication restent au service du citoyen et ne portent pas atteinte aux libertés individuelles ou publiques notamment à la vie privée.

Elle ne garantit que la collecte des données à caractère personnel, leur transmission, leur stockage, leur usage ou de manière générale leur traitement, sous quelque forme que ce soit, respecte les libertés et droits fondamentaux des personnes physiques. Elle prend également en compte les prérogatives de l’Etat, les droits des entités administratives décentralisées, les intérêts des entreprises et de la société civile.

Les dispositions de la présente loi s’appliquent à :

• toute collecte, tout traitement, toute transmission, tout stockage et toute utilisation des données à caractère personnel par une personne physique, par l’Etat, les entités administratives décentralisées, les personnes morales de droit public ou de droit privé ;
• tout traitement automatisé ou non de données contenues ou appelées à figurer dans un fichier, à l’exception des traitements mentionnés à l’article 3 de la présente loi ;
• tout traitement mis en œuvre par un responsable tel que défini dans la présente loi sur le territoire de la République du Congo ou en tout lieu où la loi de ce pays s’applique ;
• tout traitement mis en œuvre par un responsable, établi ou non au Congo, qui recourt à des moyens de traitement situés sur le territoire congolais, à l’exclusion des moyens qui ne sont utilisés qu’à des fins de transit sur ce territoire. Dans les cas visés à l’alinéa précédent, le responsable du traitement désigne un représentant établi sur le territoire de la République du Congo, sans préjudice d’actions qui peuvent être introduites à son encontre ;
• tout traitement des données concernant la sécurité publique, la défense, la recherche et la poursuite d’infractions pénales ou la sûreté de l’Etat, même liées à un intérêt économique ou financier important de l’Etat, sous réserve des dérogations que définit la présente loi et des dispositions spécifiques en la matière fixées par d’autres lois.

Sont exclus du champ d’application de la présente loi, les traitements de données mis en œuvre par une personne physique dans le cadre exclusif de ses activités personnelles ou domestiques, à condition toutefois que les données concernées ne soient pas destinées à une communication systématique à des tiers ou à la diffusion.

Ne sont pas également soumises aux dispositions de la présente loi, les copies temporaires faites dans le cadre des activités techniques de transmission et de fourniture d’accès à un réseau numérique, en vue du stockage automatique, intermédiaire et transitoire des données et à seule fin de permettre à d’autres destinataires du service le meilleur accès possible aux informations transmises.

Au sens de la présente loi, on entend par :

Catégories particulières de données à caractère personnel : Données génétiques, données liées à des mineurs, données relatives aux infractions, aux condamnations pénales ou aux mesures de sûreté, données biométriques ainsi que, pour autant qu’elles soient traitées pour ce qu’elles révèlent ou contiennent, les données à caractère personnel qui révèlent l’origine ethnique, la filiation, les opinions politiques, les convictions religieuses ou philosophiques, l’appartenance syndicale, le sexe ainsi que le traitement des données relatives à la santé et à la vie sexuelle ;

Code de conduite : Ensemble des règles, notamment les chartes d’utilisation, élaborées par le responsable du traitement, en conformité avec la présente loi, afin d’instaurer un usage correct des ressources informatiques, de l’Internet et des communications électroniques de la structure concernée, et homologué par la commission ;

Commission : La commission chargée de la protection des données à caractère personnel, créée par une loi de la République du Congo pour veiller à ce que les traitements des données à caractère personnel soient mis en œuvre conformément aux dispositions de la présente loi ;

Communications électroniques : Emissions, transmissions ou réceptions de signes, de signaux, d’écrits, d’images ou de sons, par voie électronique ou électromagnétique ;

Copies temporaires : Données copiées temporairement dans un espace dédié, pour une durée limitée dans le temps, pour les besoins du fonctionnement du logiciel de traitement ;

Consentement de la personne concernée : Toute manifestation de volonté expresse, non équivoque, libre, spécifique et informée par laquelle la personne concernée ou son représentant légal, judiciaire ou conventionnel, accepte que ses données à caractère personnel fassent l’objet d’un traitement manuel ou électronique ;

Destinataire : Toute personne habilitée à recevoir communication de données à caractère personnel autre que la personne concernée, le responsable du traitement, le sous-traitant et les personnes qui, en raison de leurs fonctions, sont chargées de traiter les données. Toutefois, les autorités publiques légalement habilitées, dans le cadre d’une mission particulière ou de l’exercice d’un droit de communication, peuvent demander au responsable du traitement de leur communiquer des données à caractère personnel ;

Données à caractère personnel : Toute information relative à une personne physique identifiée ou identifiable directement ou indirectement, par référence à un numéro d’identification ou à un ou plusieurs éléments propres à son identité physique, physiologique, génétique, psychique, culturelle, sociale ou économique ;

Données génétiques : Toute donnée concernant les caractères héréditaires d’un individu ou d’un groupe d’individus apparentés ;

Interconnexion de fichiers comportant des données à caractère personnel : Tout mécanisme de connexion consistant en la mise en relation de données traitées pour une finalité déterminée avec d’autres données traitées pour des finalités identiques ou non, ou liées par un ou plusieurs responsables de traitement ;

Pays tiers : Tout Etat étranger n’étant pas membre de l’espace CEMAC/CEEAC ;

Personne concernée : Toute personne physique qui fait l’objet d’un traitement de données à caractère personnel ;

Prospection directe : Toute sollicitation effectuée au moyen de l’envoi de message, quel qu’en soit le support ou la nature notamment commerciale, politique ou caritative, destinée à promouvoir, directement ou indirectement, des biens, des services ou l’image d’une personne vendant des biens ou fournissant des services ;

Responsable du traitement : La personne physique ou morale, publique ou privée tout autre organisme ou association qui, seul ou conjointement avec d’autres, prend la décision de collecter et de traiter des données à caractère personnel et en détermine les finalités ;

Sous-traitant : Toute personne physique ou morale, publique ou privée, tout autre organisme ou association qui traite des données pour le compte du responsable du traitement ;

Service à distance : Toute prestation de service à valeur ajoutée, s’appuyant sur les télécommunications et/ou sur l’informatique, visant à permettre, de manière interactive et à distance, à une personne physique ou morale, publique ou privée, d’effectuer des activités, démarches ou formalités, etc. ;

Tiers : Toute personne physique ou morale, publique ou privée, tout autre organisme ou association autre que la personne concernée, le responsable du traitement, le sous-traitant et les personnes qui, placés sous l’autorité directe du responsable du traitement ou du sous-traitant, sont habilités à traiter les données ;

Traitement de données à caractère personnel : Toute opération ou ensemble d’opérations prévues à l’article 2 de la présente loi effectuées ou non à l’aide de procédés automatisés ou non, et appliquées à des données, telle que la collecte, l’exploitation, l’enregistrement, l’organisation, la conservation, l’adaptation, la modification, l’extraction, la sauvegarde, la copie, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage, le cryptage, l’effacement ou la destruction des données à caractère personnel.

Les termes et expressions non définis dans la présente loi conservent leurs définitions ou significations données par les lois et règlements en vigueur ainsi que par les instruments juridiques internationaux auxquels la République du Congo a souscrit, notamment, la convention de l’union internationale des télécommunications, le règlement des radiocommunications et le règlement des télécommunications internationales.